内部監査の世界へようこそ！
こんにちは！P3 リスク管理の学習の中で、最も実践的な章の一つへようこそ。企業がどのようにルールを遵守させているのか、不思議に思ったことはありませんか？ここでは、内部監査の様々な形態について探求していきます。
内部監査は、企業にとっての「健康診断」のようなものです。医師が体の各部位（心臓、肺、反射神経など）をチェックするように、内部監査人はビジネスの様々な側面をチェックし、すべてが正しく機能しているかを確認します。最初は専門用語が多くて難しく感じるかもしれませんが、大丈夫です。一つずつ丁寧に紐解いていきましょう！
1. 内部監査とは具体的に何でしょうか？
様々な形態を見る前に、まずはシンプルに定義しましょう。内部監査とは、企業の内部統制が機能しているかをチェックする社内の独立した部門のことです。彼らの目的は、リスクが適切に管理されているという保証（アシュアランス）を取締役会に提供することにあります。
例え：プロのスポーツチームを想像してみてください。選手（経営陣）は試合に勝つ（利益を上げる）ためにプレーしますが、審判（内部監査）は試合が混乱しないように、全員がルールを守っているかを監視しています。
クイック復習：3つの防衛線
内部監査はよく第3の防衛線と呼ばれます：
1. 第1の防衛線：マネジメント（リスクの当事者）。
2. 第2の防衛線：リスク管理およびコンプライアンス部門。
3. 第3の防衛線：内部監査（独立した保証を提供する役割）。
2. 内部監査の様々な形態
内部監査人は単に会計帳簿を見るだけではありません。彼らは様々な役割を担います。CIMA P3試験に向けて知っておくべき、最も一般的な形態を紹介します：
A. 財務監査
外部監査人が期末決算を扱う一方で、内部監査チームも財務チェックを行います。彼らは財務情報の整合性と、金銭に関連する統制に焦点を当てます。例えば、「銀行勘定調整は正しく行われているか？」「給与計算部門で不正のリスクはないか？」といったことを確認します。
B. 業務監査（オペレーショナル監査）
ここでは、ビジネスが実際にどのように機能しているかを調べます。効率性（Efficiency）と有効性（Effectiveness）を追求します。製造ラインで無駄が多すぎたり、倉庫からの出荷に本来1日で済むはずが3日かかっていたりする場合、業務監査がそれらを明らかにします。
C. コンプライアンス監査
これはルールを守ることに関する全てです。対象となるルールには、外部の法規制（GDPRデータ法や労働安全衛生規則など）もあれば、社内のポリシー（出張費規定など）も含まれます。
よくある間違い：コンプライアンスは法律に関することだけだと思われがちです。しかし、社内の内部規定に従うことも含まれることを忘れないでください！
D. 情報技術（IT）監査
デジタル社会の現代において、これは非常に重要です。IT監査では、コンピュータシステムのセキュリティ、信頼性、整合性を調査します。「データはバックアップされているか？」「パスワードは十分に強力か？」「ハッカーが顧客データベースに侵入できないか？」といった点を確認します。
E. 経営監査（パフォーマンス監査）
この監査は「経営陣はうまく仕事をしているか？」を問うものです。企業の目標が達成されているか、また経営陣がリソースを賢明に活用しているかを評価します。ここでよく用いられるフレームワークがバリュー・フォー・マネー（VFM）監査です。
暗記ポイント：バリュー・フォー・マネーの3つのE
「バリュー・フォー・マネー」や「パフォーマンス監査」という言葉が出てきたら、この3つの単語を思い出してください：
1. エコノミー（Economy/経済性）：必要な品質に対して、最低限のコストで調達すること（安く資源を仕入れる）。
2. エフィシェンシー（Efficiency/効率性）：投入した資源から最大限の成果を得ること（最小の入力で最大の出力）。
3. エフェクティブネス（Effectiveness/有効性）：目標を実際に達成できたか？（最終的な結果の質）。
F. 社会・環境監査
現代の企業は自社の評判を大切にしています。この監査は、企業が社会や環境に与える影響を確認します。例えば、「二酸化炭素排出量の目標を達成しているか？」「サプライヤーは倫理的な労働慣行を守っているか？」などをチェックします。
重要なポイント：内部監査は非常に多才です。「数字」のチェックを超えて、業務、テクノロジー、ルール、さらには社会的責任にまで目を向けます。
3. 誰が監査を行うのか？（機能の調達）
企業が内部監査機能を設置するには、主に3つの方法があります。どれを選ぶかは監査委員会にとって重要な決定事項です。
1. インハウス（社内設置）
企業が自社のフルタイム従業員を監査人として雇用します。
メリット：企業の文化を深く理解しており、いつでも対応可能です。
デメリット：育成コストがかかることや、監査対象者と「仲良し」になることで客観性が失われる可能性があります。
2. アウトソーシング（外部委託）
専門のコンサルティング会社などに依頼し、内部監査業務を外部委託します。
メリット：高度なツールを持つ専門家のスキルを活用でき、新鮮で独立した視点が得られます。
デメリット：自社の特殊な事情を理解していない可能性があり、長期的に見ると高コストになる場合があります。
3. コソーシング（共同委託）
これはハイブリッド型です。少人数の社内チームを持ちつつ、特定の難しい業務（複雑なサイバーセキュリティ監査など）には外部の専門家を雇います。
現実の例：中堅銀行が日常のチェックは社内監査人で行い、年に一度だけ「ハッキング不可能な」金庫システムのテストを専門会社に依頼するようなケースです。
クイック復習：調達の判断基準
- インハウス：企業文化や継続性の維持に最適。
- アウトソーシング：専門スキルや独立性の確保に最適。
- コソーシング：「両方の良いとこ取り」ができる。
4. 内部監査計画に影響を与える要因
内部監査人はすべての事象をチェックすることはできません。時間が足りないからです！そのため、優先順位を付ける必要があります。そこでリスクベースのアプローチが使われます。
監査計画は通常、以下に基づいて策定されます：
- リスク評価：何が起こる可能性が最も高い場所か？
- 重要性（マテリアリティ）：どこに最も多額の資金が関わっているか？
- 変化：最近新しいプロジェクトを開始したり、新しいITシステムを導入したりしていないか？こうした分野こそ、真っ先にチェックが必要です！
5. まとめと励まし
内部監査の形態について学び終えました！試験に向けて覚えておくべきポイントは以下の通りです：
- 内部監査は第3の防衛線です。
- 業務監査は「3つのE」（経済性、効率性、有効性）に焦点を当てます。
- コンプライアンス監査は、社内外のルールが守られているかを確認します。
- IT監査はデジタルの資産を守ります。
- コソーシングは社内スタッフと外部専門家を組み合わせます。
覚えることが多くて大変だと感じるかもしれませんが、心配しないでください。P3の試験では、よくシナリオ形式で問題が出題されます。「この監査は何を確認しようとしているのか？プロセス（業務）か、ルール（コンプライアンス）か、それともコンピュータ（IT）か？」と自分に問いかけてみてください。一度それがわかれば、パズルが組み合わさるように答えが見えてきます。
この調子で頑張りましょう！内部統制は安全なビジネスの背骨であり、あなたはその背骨を強く保つ方法を学んでいるのです。